Cyber Security per PMI: Come Non Farti Hackerare (Senza Diventare un Esperto)

"Ma chi vuoi che attacchi me? Vendo piastrelle a Bergamo!" Questa frase è l'ultima cosa che dice un imprenditore prima di vedere lo schermo diventare nero con la scritta: "Paga 5.000 $ in Bitcoin per riavere i tuoi file".

Il mito da sfatare è che ci sia un hacker incappucciato che sceglie la tua azienda. Non funziona così: gli attacchi sono automatici, bot che girano la rete 24 ore su 24 cercando porte aperte — un plugin non aggiornato, una password "123456", un database esposto. Non guardano l'insegna. E la domanda giusta non è mi attaccheranno? ma chi se ne sta occupando adesso, nella mia azienda? Se vendi anche all'estero, la risposta ti riguarda ancora di più: la superficie di attacco cresce con ogni mercato in cui operi.

Chi attacca davvero un'azienda da otto dipendenti?

Nessuno sceglie te. I bot che scandagliano la rete non guardano il fatturato, il settore o quante persone lavorano nel tuo ufficio: cercano porte aperte, e ne trovano migliaia al giorno in tutta Italia. Un plugin di WordPress fermo alla versione di due anni fa, una password riciclata da un altro account, un pannello di amministrazione raggiungibile da chiunque lo cerchi. La conseguenza pratica è che "siamo troppo piccoli per essere un bersaglio" non è una difesa: è la descrizione esatta di chi un bot preferisce, perché di solito è anche chi ha meno controlli attivi.

Le PMI italiane fra i 5 e i 50 dipendenti sono un bersaglio ricorrente non perché qualcuno le abbia scelte una per una, ma perché nella maggior parte dei casi nessuno ha il compito esplicito di controllare che backup, aggiornamenti e password stiano davvero funzionando. È il punto da cui parte questo articolo: non un elenco di minacce, ma la lista di chi deve fare cosa.

I dieci controlli, e chi li deve fare

Nessuno dei risultati che occupano la prima pagina di Google per "sicurezza informatica pmi" — l'Agenzia per la Cybersicurezza Nazionale, gli Osservatori del Politecnico, Fortinet — mette in fila i controlli con un responsabile accanto. Dicono cosa avere, non chi deve occuparsene. Ecco i dieci punti della nostra Cyber Security Checklist, con la colonna che agli altri manca.

La colonna "chi lo fa" è quella che conta di più. Se hai risposto "nessuno" a più di tre righe, non hai un problema tecnico: hai un problema organizzativo — lo stesso tipo di distinzione che conta quando i dati coinvolti sono di altre persone, come nella piattaforma di prenotazioni online che abbiamo costruito per il Centro Specialistico DAM, un poliambulatorio dove la domanda "chi può leggere cosa" è arrivata prima della grafica del sito.

Verifica la tua sicurezza in 5 minuti

Abbiamo trasformato questi dieci punti in una checklist interattiva: la spunti, e vedi subito dove sei scoperto.

👉 Vai alla Cyber Security Checklist

Il backup che non hai mai riaperto non è un backup

Il backup ce l'hanno quasi tutti. Il problema è un altro: quasi nessuno l'ha mai riaperto. C'è un disco collegato al gestionale, una spunta verde da qualche parte, e la convinzione tranquilla che se succede qualcosa si torna a ieri. Poi succede qualcosa, si prova a ripristinare, e si scopre che l'ultima copia buona è di marzo — perché a marzo qualcuno ha cambiato una password e da allora il backup falliva ogni notte, silenziosamente, per otto mesi. Non è mancato uno strumento. È mancata una persona che una volta al mese aprisse quel file e verificasse che si aprisse davvero.

La regola resta la 3-2-1: 3 copie dei dati, su 2 supporti diversi (cloud e hardware esterno), con 1 copia fuori sede. Ma la regola da sola non basta: la domanda giusta non è "hai il backup?" ma "quanto lavoro perdi se stanotte ripristini quello di ieri?". Se la risposta è "non lo so", il backup esiste solo sulla carta.

Vale per tutto quello che la tua azienda non può permettersi di perdere: l'anagrafica clienti, gli ordini, e se vendi online anche i dati che non puoi permetterti di perdere di una piattaforma e-commerce — carrelli, transazioni, schede prodotto.

Cosa si fa nelle prime 48 ore dopo un attacco?

È la sezione che manca a tutti e cinque i risultati della prima pagina — dicono come prevenire, non cosa fare quando è già successo. La sequenza, in ordine:

1. Isola le macchine colpite. Stacca la rete, non il computer: spegnere prima di aver capito cosa è successo cancella le tracce che servono a capirlo.
2. Non pagare. Pagare il riscatto non garantisce che i dati tornino, e finanzia il prossimo attacco — anche il tuo.
3. Documenta prima di intervenire. Screenshot, orari, il messaggio di riscatto se c'è. Chi indaga dopo parte da lì.
4. Chiama chi gestisce il tuo sito o la tua rete, non "il ragazzo dei computer" scoperto sul momento — dovrebbe essere un contatto già scritto da prima che servisse.

Se a cadere non sono i dati ma la connessione stessa, il problema e la risposta sono diversi. E se fra i dati colpiti ci sono informazioni di clienti o dipendenti, scattano obblighi di notifica che vale la pena conoscere prima che servano — qui non entriamo nei termini di legge, solo nel fatto che esistono. C'è anche un adempimento diverso, con scadenze proprie sul portale della stessa ACN: riguarda chi è nell'elenco dei soggetti NIS, e chi fornisce chi c'è dentro — chi è obbligato dalla NIS2 e cosa deve fare.

Le password sono ancora il punto debole?

Sì, ed è la causa più banale di tutte. La maggior parte delle violazioni non avviene perché gli hacker sono geni: avviene perché le password sono ridicole, o perché usi la stessa ovunque. Se bucano un forum di giardinaggio a cui sei iscritto e trovano la tua password, la provano anche sulla banca e sull'admin del sito.

Due cose le attivi da solo, oggi, in un pomeriggio: un password manager aziendale (una password lunga e diversa per ogni account, che non devi ricordare) e l'autenticazione a due fattori su ogni account che conta — email, hosting, CMS, banca. Sì, è noioso ricevere il codice via SMS o app. È molto meno noioso che perdere l'azienda.

Da qui in poi il terreno cambia: se vuoi togliere del tutto le password e passare a una chiave fisica, quando la password non basta più e serve una chiave fisica è il passo successivo — ma è già un discorso diverso da quello che puoi fare oggi in un pomeriggio.

Cosa protegge il sito, e cosa non protegge

Il WAF è solo un pezzo. Gli aggiornamenti dei plugin, il certificato SSL, i permessi degli account amministratore — chi può pubblicare, chi può solo scrivere, chi non dovrebbe più avere accesso e ce l'ha ancora da quando se n'è andato — sono altrettanto parte del perimetro. E c'è una distinzione che quasi nessuno fa: l'hosting non è il tuo sito, e il backup che fa automaticamente il tuo hosting non è il backup di cui parlavamo prima. Protegge il server, non necessariamente i tuoi contenuti, i tuoi ordini, i tuoi moduli compilati. Su WordPress in particolare — è il CMS più diffuso e anche il più preso di mira — questo vale doppio: un plugin di terze parti mai aggiornato resta la porta più comune da cui si entra. E c'è un pezzo che il WAF non copre affatto: se il traffico anomalo arriva in massa, il livello che lo assorbe prima che arrivi al sito è uno strumento diverso da questo.

Quanto costa, e da dove si comincia se il budget è piccolo?

Se non puoi fare tutti e dieci i controlli subito, l'ordine conta più della lista completa. Prima il backup, e verificato — non basta che esista, deve essere stato riaperto almeno una volta. Poi il 2FA sugli account che valgono soldi: banca, email amministrativa, pannello di amministrazione del sito. Poi gli aggiornamenti di CMS e plugin. Il resto — formazione, log centralizzati, piano scritto — viene dopo: ha un impatto più lento, ma non per questo meno reale.

Quello che teniamo noi, quando gestiamo la manutenzione di un sito, sono esattamente i controlli tecnici di questa lista: aggiornamenti di sicurezza, backup giornalieri, monitoraggio uptime, firewall WAF. Quello che resta fuori dal nostro perimetro — la rete interna dei tuoi computer, la formazione del personale, un vero incident response — ha bisogno di qualcun altro, e va detto chiaramente invece di lasciarlo intuire.

Chi risponde quando succede?

Ed eccola, la tesi di questo articolo: una PMI non viene violata perché le manca uno strumento, ma perché nessuno ha il compito di controllare che quello strumento stia funzionando. Nelle aziende senza reparto IT la sicurezza è di tutti e quindi di nessuno — il sito è del fornitore, le email del provider, i computer del "ragazzo dei computer", i dati del commercialista. Ognuno vede solo il proprio pezzo.

Serve un foglio con quattro righe e quattro nomi: chi controlla il backup, chi gestisce gli accessi, chi si chiama se succede qualcosa, chi parla con i clienti se i dati coinvolti sono i loro. Non serve un software per farlo: serve deciderlo. È lo stesso principio che regge un progetto come quello costruito per PAESC – Patto dei Sindaci: un portale dove più di cinquanta comuni condividono la stessa piattaforma, ma ogni ente vede solo i propri documenti e non quelli degli altri. I permessi non sono un'impostazione tecnica lasciata al caso: sono una decisione presa prima di scrivere una riga di codice.

Come si capisce se è già successo?

Non servono strumenti per accorgersene, bastano gli occhi aperti su qualche segnale: email inviate dal tuo indirizzo che non hai scritto tu, accessi registrati da paesi in cui non sei mai stato, il sito che su mobile rimanda a un altro indirizzo mentre da desktop sembra tutto normale, il gestionale che rallenta all'improvviso senza un motivo evidente. Nessuno di questi singolarmente è una prova, ma insieme sono il momento in cui vale la pena controllare, non aspettare.

Il modo più veloce per farlo è ripassare i dieci punti uno per uno: la Cyber Security Checklist li elenca tutti, con la priorità di ciascuno, e richiede cinque minuti — molti meno di quelli che perderesti se uno di quei dieci punti fosse la falla che stavi cercando.

Non ti chiedo di contattarci. Ti faccio una domanda sola: se stanotte il backup fallisse, quanti giorni passerebbero prima che qualcuno se ne accorga? Se la risposta è "non lo so", quello è il primo problema — non il firewall, non l'antivirus, non l'ultimo strumento di cui hai sentito parlare. È mancare di una persona con quel compito scritto accanto al nome.

Se preferisci non doverci pensare tu, è esattamente il lavoro che facciamo quando teniamo la manutenzione di sicurezza di un sito: aggiornamenti, backup verificati, monitoraggio, e qualcuno che se ne accorge prima di te.

📚 Riferimenti

• NIST Cybersecurity Framework - Ransomware Risk Management Profile National Institute of Standards and Technology

• Verizon Data Breach Investigations Report (DBIR) Annual Security Report

• OWASP Top 10 Security Risks Open Web Application Security Project